Newsletter Bombing: Angriff erkennen und Formular schützen

Key Takeaways

• Die Mailflut ist die Tarnung, nicht der Angriff. Wer hunderte Bestätigungsmails pro Stunde bekommt, soll eine einzelne Nachricht übersehen: die Bestellbestätigung, die Passwort-Änderung, die Freigabe einer Überweisung.
• Dein Anmeldeformular ist der Verstärker. Die Bots verschicken nichts selbst. Sie tragen eine fremde Adresse in tausende ungeschützte Formulare ein und lassen die betroffenen Absender die Arbeit machen.
• In Deutschland kommt ein Haftungsrisiko dazu. Jede Bot-Anmeldung führt dazu, dass du einer Person eine E-Mail schickst, deren Einwilligung du nicht belegen kannst. § 7 Abs. 2 Nr. 2 UWG kennt dafür keine Ausnahme für gute Absichten.
• Vier Maßnahmen greifen ohne Nutzerreibung. Honeypot-Feld, Zeitprüfung, Rate Limit pro Adresse und ein Captcha, das nur bei Auffälligkeiten anspringt.

Fast jeder Text zu diesem Thema erklärt, wie sich das geflutete Postfach anfühlt und wie man aufräumt. Die andere Hälfte der Geschichte steht selten da: Bei jedem dieser Angriffe gibt es hunderte Firmen, deren Formulare als Waffe benutzt wurden, und die davon meistens gar nichts merken. Ihre Zustellrate sinkt, ihre Liste füllt sich mit Spamtraps, und sie verschicken massenhaft Mails an Menschen, die nie zugestimmt haben. Dieser Artikel behandelt beide Seiten, mit dem Schwerpunkt auf der Seite, die du tatsächlich kontrollieren kannst.

Was ist Newsletter Bombing?

Newsletter Bombing ist ein Angriff, bei dem eine fremde E-Mail-Adresse automatisiert in möglichst viele Newsletter-, Registrierungs- und Kontaktformulare eingetragen wird. Das Opfer bekommt daraufhin eine Lawine echter Bestätigungs- und Willkommensmails von hunderten verschiedenen Absendern. Die Begriffe Subscription Bombing, List Bombing und E-Mail Bombing meinen im Kern dasselbe Muster.

Das Perfide daran ist die Legitimität. Klassischer Spam kommt von wenigen dubiosen Absendern und lässt sich filtern. Hier kommt jede einzelne Mail von einem sauber konfigurierten Server mit gültigem SPF- und DKIM-Eintrag, weil sie tatsächlich von einem echten Unternehmen stammt, das einen Anmeldeversuch bestätigen will. Spamfilter haben gegen diesen Verkehr wenig in der Hand.

Das Ziel ist Ablenkung. Proofpoint beschreibt Raten von über 1.500 Mails pro Stunde, genug, um ein Postfach binnen Minuten unbenutzbar zu machen. In dieser Flut geht die eine Nachricht unter, auf die es ankommt. Das Schweizer Bundesamt für Cybersicherheit meldete im Februar 2026 steigende Fallzahlen und beschreibt das typische Muster: Die Angreifer haben bereits Zugang zu einem Konto, lösen eine Transaktion aus und begraben die Sicherheitsbenachrichtigung unter dem Rest.

Manche Gruppen setzen die Flut auch als ersten Zug einer längeren Kette ein. Proofpoint dokumentierte, wie die Ransomware-Gruppe Black Basta nach dem Bombing im Namen der IT-Abteilung über Microsoft Teams Kontakt aufnahm und den überforderten Empfängern anbot, das Postfach zu bereinigen. Wer darauf einging, installierte ein Fernwartungstool. Das amerikanische Gesundheitsministerium warnte seine Branche mit einer eigenen Meldung vor genau diesem Ablauf.

Woran erkennst du einen laufenden Angriff?

Das eindeutigste Signal ist die Geschwindigkeit. Normale Newsletter kommen über Tage verteilt, ein Bombing-Angriff liefert dreistellige Mengen in einer Viertelstunde, oft nachts oder am Wochenende.

Drei weitere Merkmale grenzen es von gewöhnlichem Spam ab:

• Viele verschiedene Absenderdomains. Nicht drei Absender mit tausend Mails, sondern tausend Absender mit je einer Mail.
• Überwiegend Double-Opt-in-Anfragen. Betreffzeilen mit "Bitte bestätige deine Anmeldung" oder "Confirm your subscription" dominieren.
• Thematisch völlig zusammenhanglos. Ein Gartencenter in Portugal, ein Fitnessstudio in Polen, ein Softwarehersteller in Kanada.

Wenn du dieses Muster siehst, lösche nichts. Das Bundesamt für Cybersicherheit empfiehlt, die Flut zuerst nach den Stichworten Passwort, Zahlung, Bestellung und Sicherheit zu durchsuchen und danach direkt in den betroffenen Konten nachzusehen, statt sich auf E-Mail-Benachrichtigungen zu verlassen.

Warum dein Anmeldeformular das eigentliche Ziel ist

Angreifer brauchen für diese Attacke keinen eigenen Versandserver. Sie brauchen tausende fremde Formulare, die eine E-Mail auslösen, ohne vorher zu prüfen, ob ein Mensch davorsitzt. Jedes Newsletter-Feld, jedes Kontaktformular und jede Terminbuchungsseite ohne Bot-Schutz ist ein Kandidat.

Getroffen wird dabei nicht nur das Newsletter-Feld. Betroffen ist alles, was auf eine Eingabe hin automatisch eine Mail auslöst: Kontaktformulare, Downloadstrecken für Whitepaper, Terminbuchungen, Rückrufbitten und jedes Intake-Formular zur Kundenaufnahme. Je mehr Einstiegspunkte du betreibst, desto größer ist die Fläche, und desto wahrscheinlicher übersiehst du einen davon.

Für dich als Betreiber entstehen daraus zwei getrennte Probleme.

Das Zustellproblem. Jede Bot-Anmeldung löst eine Bestätigungsmail aus. Bei einem Anmelde-Peak sieht dein Versand für Provider plötzlich aus wie eine Spamschleuder, mit Bounces, Beschwerden und Spamtraps in der Liste. Die Folge sind schlechtere Zustellraten für deine echten Empfänger, im schlimmsten Fall ein Eintrag auf einer Blockliste. Wer regelmäßig versendet, merkt das erst, wenn die Öffnungsrate der nächsten Kampagne einbricht.

Das Rechtsproblem, und das ist der deutsche Teil. Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist nach § 7 Abs. 2 Nr. 2 UWG eine unzumutbare Belästigung. Der BGH hat das Double-Opt-in-Verfahren zwar gebilligt (Urteil vom 10.02.2011, Az. I ZR 164/09; Beschluss vom 16.08.2012, Az. I ZB 2/12), das OLG München sah die Bestätigungsanfrage 2012 aber selbst als Werbung im Sinne der Vorschrift (Urteil vom 27.09.2012, Az. 29 U 1682/12). Das OLG Düsseldorf entschied 2016 gegenteilig.

Diese Uneinigkeit ist im Normalbetrieb egal, weil sich echte Anmelder nicht beschweren. Bei einem Bombing-Angriff verschickst du sie an hunderte Menschen, die aktiv genervt sind und deren Einwilligung du nicht dokumentieren kannst. Genau dann trägst du die Beweislast, und die verlangt den Nachweis für jeden einzelnen Empfänger.

Anmeldeformular absichern: sechs Schritte

Die Reihenfolge ist bewusst gewählt. Die ersten drei Schritte kosten Nutzer keine Sekunde und fangen den Großteil der automatisierten Anmeldungen ab. Erst danach kommt sichtbare Reibung ins Spiel.

Schritt 1: Honeypot-Feld einbauen

Leg ein zusätzliches Eingabefeld an, blende es per CSS aus und gib ihm einen naheliegenden Namen wie "website" oder "firma2". Menschen sehen es nicht und füllen es nie aus. Standard-Bots lesen das HTML und tragen brav etwas ein. Jede Einsendung mit gefülltem Honeypot verwirfst du serverseitig, ohne eine Fehlermeldung auszugeben.

Wichtig: keine Fehlermeldung. Wer dem Bot verrät, dass er aufgeflogen ist, hilft beim Umbauen des Skripts.

Schritt 2: Zeit zwischen Aufruf und Absenden prüfen

Setz beim Rendern des Formulars einen signierten Zeitstempel und prüf beim Absenden die Differenz. Ein realistischer Grenzwert liegt bei drei Sekunden, den auch deutsche Deliverability-Praktiker als Schwelle nennen. Schneller tippt niemand eine E-Mail-Adresse ein.

Der Schritt kostet wenige Zeilen Code und greift auch bei Bots, die Honeypots erkennen.

Schritt 3: Rate Limits auf drei Ebenen setzen

Ein einzelnes Limit pro IP reicht nicht, weil moderne Bot-Netze über hunderte Adressen verteilt anfragen. Setz stattdessen drei Zähler parallel:

• Pro IP: begrenzt einfache Skripte.
• Pro E-Mail-Adresse: höchstens eine Bestätigungsmail pro Adresse in zehn Minuten. Damit ist deine Domain als Verstärker uninteressant, selbst wenn tausende Anfragen durchkommen.
• Pro Absenderdomain: auffällig, wenn plötzlich 400 Anmeldungen von derselben Freemail-Domain in einer Minute eingehen.

Das Limit pro Adresse ist der wichtigste Hebel. Es trennt den Missbrauch von deinem tatsächlichen Versandvolumen.

Schritt 4: Captcha nur bei Auffälligkeit ausspielen

Ein dauerhaft sichtbares Captcha kostet Anmeldungen. Sinnvoller ist eine Eskalationsstufe: Erst wenn die Schritte 1 bis 3 anschlagen oder das Anfragevolumen aus dem Rahmen fällt, wird eine Prüfung eingeblendet.

Für den deutschen Markt ist die Wahl des Anbieters kein Detail, weil jede Captcha-Abfrage Nutzerdaten überträgt. Friendly Captcha aus Deutschland arbeitet ohne Bilderrätsel und ohne Cookies, mit Verarbeitung in der EU. meetergo setzt den Dienst selbst auf ausgewählten Formularen ein.

Schritt 5: Die Bestätigungsmail werbefrei halten

Wenn Bots deine Adresse verteilen, gehen deine Bestätigungsmails an Unbeteiligte. Diese Mail darf deshalb nichts enthalten außer dem Bestätigungslink und der Absenderkennzeichnung.

Das LG Stendal wertete Logo, Begrüßungsformel und Kontaktdaten in einer Aktivierungsmail als Werbung (Urteil vom 12.05.2021, Az. 22 S 87/20). Was im Normalbetrieb wie freundliche Gestaltung wirkt, wird bei tausend falschen Empfängern zu tausend potenziellen Beschwerden.

Schritt 6: Anmeldungen überwachen und einen Notschalter vorbereiten

Leg einen Alarm auf die Anmeldungen pro Minute und eine zweite Regel auf den Anteil neuer Adressen ohne Bestätigungsklick. Beides erkennt einen Angriff, bevor der Provider ihn erkennt.

Und bau dir vorher einen Schalter, der das Versenden der Double-Opt-in-Mails aussetzt, ohne das Formular offline zu nehmen. Anmeldungen laufen dann in eine Warteschlange, aus der du nach dem Angriff die echten herausfilterst. Wer diesen Schalter erst während des Vorfalls baut, verliert Stunden.

Schutzmaßnahmen im Überblick

Die ersten drei Zeilen sind an einem Nachmittag umgesetzt und decken den Großteil der automatisierten Anmeldungen ab. Die WAF lohnt erst, wenn ohnehin ein CDN mit entsprechender Funktion im Einsatz ist.

Sofortmaßnahmen, wenn dein eigenes Postfach flutet

Als Betroffener hast du eine andere Aufgabe: Du suchst die eine Mail, die zählt.

• Filtere, bevor du löschst. Such im gesamten Posteingang nach Passwort, Bestellung, Zahlung, Überweisung, Login und Sicherheit.
• Prüf die Konten direkt. Melde dich bei Bank, Zahlungsdienst und den wichtigsten Shops an und sieh dir Transaktionen und hinterlegte Kontaktdaten an, statt dich auf Benachrichtigungen zu verlassen.
• Ändere Passwörter dort zuerst, wo dieselbe Adresse als Login dient.
• Leg eine Regel an, die Mails mit typischen Bestätigungsbetreffs vorübergehend in einen Ordner verschiebt, statt sie zu löschen. Du brauchst sie später als Nachweis.
• Klick nichts an. Weder Bestätigungs- noch Abmeldelinks, solange der Angriff läuft. Ein Klick bestätigt Angreifern, dass die Adresse aktiv ist, und die echten Anmeldungen laufen ohnehin ins Leere, wenn du sie nicht bestätigst.

Fünf Fehler, die den Angriff verschlimmern

Das Formular komplett offline nehmen. Damit stoppst du auch die echten Anmeldungen und verlierst Leads, während der Angriff nach ein paar Stunden von selbst weiterzieht. Der gezielte Stopp des Mailversands reicht.

Die Bot-Adressen einfach im Verteiler lassen. Spamtraps in der Liste beschädigen deine Absenderreputation dauerhaft. Alles, was nicht innerhalb weniger Tage bestätigt wurde, gehört gelöscht, nicht archiviert. Eine saubere E-Mail-Liste ist nach so einem Vorfall wichtiger als ihre Größe.

Auf Beschwerdemails inhaltlich antworten. Wer auf eine Beschwerde mit einer Marketing-Signatur antwortet, verschickt die nächste unerlaubte Werbemail. Eine knappe, werbefreie Antwort mit Löschbestätigung genügt.

Das Captcha dauerhaft scharfstellen. Nach dem Vorfall bleibt die Hürde oft für immer stehen und kostet still Anmeldungen. Setz dir ein Datum, an dem du sie zurück auf die Eskalationslogik stellst.

Nur das Newsletter-Formular absichern. Kontaktformulare, Terminbuchungen, Downloadanfragen und Registrierungen lösen genauso Mails aus. Angreifer nehmen, was offen ist. Wenn du Online-Formulare an mehreren Stellen betreibst, gehören sie alle auf dieselbe Prüfung.

Welche Maßnahmen zu deinem Setup passen

Wenn du wenig versendest und selbst hostest, reichen Honeypot, Zeitprüfung und das Limit pro Adresse. Diese drei brauchen keinen Dienstleister und keine laufenden Kosten. Ein Captcha lohnt hier meist nicht.

Wenn du regelmäßig Kampagnen verschickst, ist die Absenderreputation dein teuerstes Gut. Dann gehören Monitoring und der Notschalter für den Double-Opt-in-Versand dazu, weil ein einziger unbemerkter Vorfall die Zustellrate deiner nächsten E-Mail-Kampagnen über Wochen drückt.

Wenn du im DACH-Raum mit Personendaten arbeitest, entscheidet die Wahl des Captcha-Anbieters mit über deine Datenschutzdokumentation. Ein Dienst mit Verarbeitung in der EU spart dir die Diskussion über Drittlandtransfers, die bei US-Anbietern in jeder Sicherheitsprüfung aufkommt.

Wenn deine Formulare in einem SaaS-Tool laufen, prüf zuerst, was das Tool selbst mitbringt. Bot-Schutz, Rate Limits und ein Double-Opt-in mit Protokoll sind dort entweder eingebaut oder gar nicht umsetzbar.

Terminbuchung und Formulare bei meetergo

Buchungsseiten werden bei diesem Angriffsmuster gern übersehen, dabei lösen sie dieselben automatischen Mails aus wie ein Newsletter-Feld. Wer Termine online buchbar macht oder Formulare zur Datenerfassung einsetzt, betreibt einen potenziellen Verstärker.

meetergo bringt dafür drei Bausteine mit. Der Bot- und Spamschutz ist in den bezahlten Tarifen enthalten und arbeitet auf ausgewählten Formularen mit Friendly Captcha aus Deutschland. Das Double-Opt-in lässt sich organisationsweit oder pro Terminart aktivieren und führt ein Protokoll mit Zeitstempel, IP und Bestätigungsklick. Die IP-Adressen liegen 30 Tage im Klartext vor und werden danach per HMAC-SHA256 gehasht, der Export trägt eine SHA256-Prüfsumme. Genau dieses Protokoll ist das, was dir in der Beweislast nach § 7 UWG fehlt, wenn du nur eine Excel-Liste hast.

Ehrlich bleibt: Der Bot- und Spamschutz gehört nicht zum kostenlosen Tarif, und meetergo schützt nur die Formulare, die auch dort laufen. Dein WordPress-Newsletter bleibt deine Aufgabe. Die Tarife starten bei 0 € und liegen bei 9,90 € für Light und 29,90 € für Suite, alle Details stehen in der Preisübersicht (geprüft am 18.08.2026).

Kostenlos starten und in 30 Sekunden live gehen, ohne Kreditkarte.

Häufige Fragen

Ist Newsletter Bombing strafbar?
Für die Angreifer ja, in Betracht kommen unter anderem Computersabotage und die Delikte rund um den vorbereiteten Kontomissbrauch. Für dich als Betreiber eines missbrauchten Formulars geht es nicht um Strafrecht, sondern um wettbewerbs- und datenschutzrechtliche Ansprüche der Empfänger.

Schützt Double-Opt-in vor Newsletter Bombing?
Nein, es begrenzt nur den Schaden. Double-Opt-in verhindert, dass die fremde Adresse in deinem Verteiler landet. Die Bestätigungsmail selbst wird trotzdem verschickt, und genau die ist bei diesem Angriff das Problem. Der Schutz muss davor greifen, im Formular.

Woher wissen die Angreifer, welche Formulare ungeschützt sind?
Sie testen automatisiert. Skripte crawlen Websites nach Formularen mit E-Mail-Feld, senden einen Testeintrag und merken sich, welche Domain daraufhin zustellt. Wer einmal in dieser Liste steht, wird bei jeder Kampagne wieder benutzt.

Muss ich betroffene Empfänger informieren?
In der Regel nicht als Datenschutzvorfall, weil keine Daten abgeflossen sind. Wer sich meldet, bekommt eine kurze, werbefreie Bestätigung, dass die Adresse gelöscht wurde und nie bestätigt war. Dokumentier diese Antworten, sie sind bei einer späteren Abmahnung dein Nachweis.

Wie dokumentiere ich, dass eine Anmeldung nicht von mir kam?
Du brauchst pro Adresse drei Angaben: Zeitpunkt der Anmeldung, technische Herkunft und die Information, ob der Bestätigungslink je geklickt wurde. Ein Verteiler, der nur Adresse und Anmeldedatum speichert, hilft dir hier nicht weiter. Wie meetergo diese Protokolle führt und wo die Daten liegen, steht in der Übersicht zu Sicherheit und Datenschutz.

Wie lange dauert so ein Angriff?
Die Flut läuft meist zwischen einer und 48 Stunden. Die Folgen für deine Absenderreputation dauern länger, weil Bounces und Beschwerden über Wochen in die Bewertung der Provider einfließen.

Reicht ein Captcha allein?
Nein. Fortgeschrittene Bot-Netze lösen Standard-Captchas gegen Bezahlung, und ein dauerhaft sichtbares Captcha kostet dich echte Anmeldungen. Die Kombination aus Honeypot, Zeitprüfung und Rate Limit pro Adresse fängt mehr ab, ohne dass ein Nutzer es merkt.